Datenschutzerklärung

Diese Erklärung beschreibt, welche personenbezogenen Daten bei der Nutzung von iching.plus verarbeitet werden. Sie gilt für die Website, das Konto, die Legungen, die Zahlung und die E-Mails.

Stand: 14. Oktober 2026. Version: 2026-10-14.

Verantwortlicher

Csaba Nagy, Bergstr. 3, 76684 Östringen, Deutschland.
E-Mail: info@iching.plus
Telefon: 01590 1579061

Konto und Anmeldung

Ein Konto braucht eine E-Mail-Adresse, einen Benutzernamen und ein Passwort. Nach der Registrierung schicken wir einen sechsstelligen Code an diese Adresse, um sie zu bestätigen. Haben Sie Ihr Passwort vergessen, schicken wir auf Ihre Anfrage einen Link zum Zurücksetzen. Beides versenden wir über SMTP2GO.

Wir speichern den Nachweis, dass Sie die AGB akzeptiert und diese Erklärung zur Kenntnis genommen haben: den angezeigten Text, die Sprachfassung, den Zeitpunkt und die Version der Dokumente.

Nicht bestätigte Anmeldungen löschen wir nach 24 Stunden, spätestens am folgenden Tag.

Rechtsgrundlage für das Konto ist Art. 6 Abs. 1 lit. b DSGVO.

Legungen, Tagebuch und Export

Fragen, Legungen, Notizen, Deutungen und Markierungen speichern wir in Ihrem Konto, damit Sie sie wiederfinden. Ihre Fragen, Notizen und Deutungen speichern wir verschlüsselt. Eine Kopie des Tagebuchs liegt außerdem in diesem Browser, solange Sie angemeldet sind. Beim Abmelden entfernen wir sie. Die offene Frage einer Sitzung liegt nur für diesen Browser-Tab vor.

Eine angefangene Speicherung, die über Anmeldung oder Kasse weitergehen soll, liegt bis zu 24 Stunden auf dem Gerät. Danach verfällt sie.

Im Papierkorb bleiben gelöschte Legungen 30 Tage, dann werden sie entfernt.

Sie können Ihre Legungen als Word-Datei oder CSV herunterladen. Die Datei entsteht in Ihrem Browser. Wir schicken sie dafür nicht an einen weiteren Dienst.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Testzugang, kostenlose Speicherung, Beta und Englisch

Der Testzugang läuft ohne Karte. Wir speichern, wann er begonnen hat und wann er endet.

Ein kostenloses Konto kann nur eine begrenzte Zahl von Legungen speichern. Dafür merken wir uns den Speicherstand.

Beta-Zugang und der Zugang zur englischen Fassung sind Vermerke an Ihrem Konto. Sie schalten Funktionen frei und sind keine eigene Analyse. Beim Beta-Zugang speichern wir Beginn und Ende und ob er als Partner gewährt wurde. Läuft dann noch ein bezahltes Abo, beginnt der Beta-Zugang mit dem Ende der bezahlten Laufzeit, und wir stellen das Abo bei Stripe auf Ende zu diesem Tag.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Zahlung (Stripe)

Kostenpflichtige Abos laufen über Stripe. Die Karte geben Sie bei Stripe ein. Wir erhalten sie nicht.

Stripe erhebt die Rechnungsadresse, erstellt die Rechnung und betreibt das Kundenportal, in dem Sie Zahlung und Abo verwalten. Webhooks teilen uns mit, ob eine Zahlung geklappt hat oder ein Abo sich geändert hat. An Stripe geben wir Ihre E-Mail-Adresse, Ihre Kontonummer bei uns, die Sprache der Seite und, falls bekannt, woher Sie gekommen sind (Partnerlink oder Kampagne). Bei uns speichern wir die Kundennummer, Status und Preis des Abos, das Ende der bezahlten Laufzeit, eine vorgemerkte Kündigung oder einen Tarifwechsel, eine fehlgeschlagene Zahlung und die Herkunft.

Aktionen und Rabatte hängen an dem Abo, das Sie abschließen. Der Testzugang verlangt keine Karte.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Rechnungen bleiben gespeichert, soweit das Steuerrecht das verlangt.

Kündigung und Widerruf

Über die öffentlichen Formulare können Sie eine Kündigung oder einen Widerruf ohne Anmeldung übermitteln. Wir speichern Ihren Namen, die Angaben zur Vertragszuordnung, die E-Mail-Adresse für die Bestätigung, den Inhalt Ihrer Erklärung und den Eingangszeitpunkt. Bei einer Kündigung kommen die Kündigungsart, das gewünschte Vertragsende und gegebenenfalls der Grund einer außerordentlichen Kündigung hinzu.

Sie erhalten eine Eingangsbestätigung per E-Mail. Eine weitere Nachricht geht an unser Geschäftspostfach zur Bearbeitung.

Bei einer ordentlichen Kündigung gleichen wir die Angabe zur Vertragszuordnung mit den Konten ab. Ist sie die E-Mail-Adresse genau eines Kontos, lesen wir bei Stripe das laufende Abo und schicken das Vertragsende an die E-Mail-Adresse dieses Kontos, oder den Hinweis, dass kein Abo läuft. So erfährt auch der Kontoinhaber von der Kündigung. Wir speichern dazu die Adresse des Kontos, den Text dieser Nachricht und eine Notiz für die Bearbeitung mit Abo-Nummer, Vertragsende und dem Abgleich von Name und Benutzername.

Wir speichern den Versandstatus und versuchen fehlgeschlagene Zustellungen erneut. Eine Änderung oder Erstattung bei Stripe nehmen wir gesondert vor.

Diese Nachweise bleiben unabhängig von einer Kontolöschung gespeichert, solange sie für die Bearbeitung, gesetzliche Nachweispflichten oder die Klärung von Ansprüchen erforderlich sind. Es gibt dafür keine automatische Löschfrist; die Löschung erfolgt nach Prüfung der weiteren Erforderlichkeit.

Zum Schutz der Formulare und der Empfänger begrenzen wir die Zahl der Anfragen und E-Mails. Dafür verwenden wir nicht rückrechenbare, mit einem geheimen Schlüssel erzeugte Prüfsummen von IP- und E-Mail-Adressen in zeitlich begrenzten Zählern. Rohe IP-Adressen speichern wir dafür nicht in diesen Zählern.

Rechtsgrundlagen sind Art. 6 Abs. 1 lit. b und c DSGVO für die Abwicklung und den Nachweis sowie Art. 6 Abs. 1 lit. f DSGVO für den Schutz vor Missbrauch.

E-Mail (SMTP2GO)

SMTP2GO versendet die E-Mails, die zu einer Handlung gehören: zum Konto (Bestätigungscode, Passwort zurücksetzen), zu Einladungen (Einladung mit dem Namen der einladenden Person, eine Erinnerung, Willkommen für Partner), zu Newsletter und Warteliste (Bestätigung) sowie zu Kündigung und Widerruf (Eingangsbestätigung, Nachricht an unser Geschäftspostfach und an die Adresse eines zugeordneten Kontos). Dafür gehen E-Mail-Adresse, Sprache und der Inhalt dieser Nachricht an SMTP2GO.

SMTP2GO sitzt in Neuseeland. Soweit dabei Daten außerhalb der EU verarbeitet werden, stützen wir das auf Standardvertragsklauseln.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, für Einladungen Art. 6 Abs. 1 lit. f DSGVO.

Geplante Hinweise zum Ende eines Testzugangs oder eines Beta-Zugangs werden noch nicht versendet. Kommen sie hinzu, ergänzen wir diese Erklärung.

Newsletter, Warteliste, Tester und Partner (Sender.net)

Die Warteliste und der Newsletter laufen über Sender.net (UAB Sender.lt, Antakalnio g. 17, LT-10312 Vilnius, Litauen). Sender.net sitzt in der EU.

Die Warteliste: Sie geben Ihre E-Mail-Adresse an und bestätigen einen Link. Erst danach tragen wir Sie bei Sender.net ein. Die Bestätigungsmail selbst geht über SMTP2GO. Wir speichern die Adresse, die Sprache, den Zeitpunkt, den angezeigten Einwilligungstext, die Version dieser Erklärung und die IP-Adresse der Anmeldung.

Der Newsletter: eigene Einwilligung, extra Bestätigungsmail (Double Opt-in). Ohne den Klick auf den Link gibt es keinen Versand. Der Text im Formular sagt das.

Sender.net kann Öffnungen und Klicks in Newslettern messen. Das stützen wir auf berechtigtes Interesse nach Art. 6 Abs. 1 lit. f DSGVO. Ein separates Abschalten nur der Messung bietet der Dienst nicht. Wer das nicht will, meldet sich vom Newsletter ab, über den Link in der Mail oder über info@iching.plus.

Die Einwilligung zum Versand können Sie genauso widerrufen. Nach der Abmeldung bekommen Sie keinen Newsletter mehr. Den Nachweis Ihrer Einwilligung (Adresse, Zeitpunkt, Text der Einwilligung) bewahren wir drei Jahre auf, um sie belegen zu können, und löschen ihn dann, bei uns und bei Sender.net.

Rechtsgrundlage für den Versand ist Art. 6 Abs. 1 lit. a DSGVO.

Wer eine Einladung als Tester oder Partner annimmt, kommt bei Sender.net in eine eigene Gruppe, mit E-Mail-Adresse, Benutzername, Sprache und Stand der Einladung. Darüber schreiben wir zum Test oder zur Partnerschaft, nicht mit Werbung. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO. Endet der Test oder die Partnerschaft, nehmen wir Sie aus der Gruppe.

KI-Deutung (OpenRouter)

Eine KI-Deutung oder eine Anschlussfrage geht erst raus, wenn Sie sie selbst auslösen. Übermittelt werden nur die Frage, das Hexagramm, die wechselnden Linien und das daraus entstehende Hexagramm. Notizen, Markierungen, E-Mail, Benutzername und Kontonummer gehen nicht mit.

Die Anfrage läuft über OpenRouter an ein Sprachmodell, das ein Rechenzentrumsanbieter betreibt. OpenRouter wählt ihn unter den Anbietern aus, bei denen wir Zero Data Retention und den Ausschluss der Trainingsnutzung technisch verlangen. Kann diese Einstellung nicht gehalten werden, geht die Anfrage nicht raus. OpenRouter verarbeitet technische Angaben zur Abrechnung, etwa Token und Laufzeit. Die fertige Deutung speichern wir verschlüsselt in Ihrem Konto.

Die Anbieter können außerhalb der EU sitzen, auch in den USA. Dafür nutzen wir Standardvertragsklauseln nach Art. 46 Abs. 2 lit. c DSGVO.

Die Funktion ist nicht für besondere Kategorien nach Art. 9 DSGVO gedacht. Geben Sie keine konkreten Gesundheitsdaten und keine Daten anderer Personen ein. Wir filtern Eingaben darauf nicht automatisch.

Es gibt keine automatisierte Entscheidung im Sinne von Art. 22 DSGVO.

Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO, weil die Deutung die von Ihnen verlangte Leistung ist.

Speicher auf dem Gerät

Manches muss auf dem Gerät liegen, damit die App tut, was Sie von ihr verlangen. Dafür brauchen wir keine Einwilligung nach § 25 Abs. 2 TDDDG. Dazu gehören:

1. Die Anmelde-Cookies und, während der Registrierung, Ihre E-Mail-Adresse bis zur Eingabe des Codes, nur in diesem Tab.
2. Die Sprache, sechs Monate.
3. Die offene Frage, Notizen, die angefangene Speicherung und, solange Sie angemeldet sind, die Kopie Ihres Tagebuchs.
4. Einstellungen der Ansicht, Hinweise, die Sie weggeklickt haben, eine Pause nach einer Rückmeldung, damit wir nicht gleich wieder fragen, und Ihr Fortschritt im Beta-Bereich.

Sind Sie angemeldet, liegen diese Ansichtseinstellungen und die Hinweise, die Sie weggeklickt haben, auch in Ihrem Konto.

Andere Speicher auf dem Gerät, etwa für Statistik oder Werbung, setzen wir nicht ein. Deshalb fragen wir nicht nach einer Einwilligung in Cookies. Einzige Ausnahme: Starten Sie ein Video, speichert YouTube Daten in Ihrem Browser, erst nach Ihrem Tippen auf „Abspielen“ (siehe Videos).

Nutzungsereignisse

Die App meldet einzelne Ereignisse an unseren Server, zum Beispiel, dass eine Deutung geöffnet oder gespeichert wurde. Ein zufälliger Sitzungszähler verbindet die Ereignisse eines Besuchs. Er liegt nur im Arbeitsspeicher der geöffneten Seite, nicht auf dem Gerät, und ist nach dem Neuladen weg. Sind Sie angemeldet, speichern wir das Ereignis auch mit Ihrer Kontonummer. Eine Frage oder ein Tagebuchtext steht in diesen Ereignissen nicht. Eine Rückmeldung, die Sie in der App schreiben, speichern wir ohne Kontonummer und ohne Bezug zu einer Legung.

Ob die Einladung zum Speichern oben oder unten in einer Deutung steht, richtet sich nach dem Hexagramm. Dafür wird nichts gespeichert.

Die Ereignisse auf dem Server haben noch keine automatische Löschfrist. Wird das Konto gelöscht, fällt die Verknüpfung zur Kontonummer weg. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, zu verstehen, welche Teile der App genutzt werden, und sie zu verbessern.

Herkunft des Besuchs

Woher Sie gekommen sind (ein Partnerlink oder eine Kampagne), steht in der Adresse des Links. Die App liest es dort und hält es nur im Arbeitsspeicher der geöffneten Seite. Auf dem Gerät speichern wir es nicht.

Gespeichert wird die Herkunft erst, wenn Sie im selben Besuch ein Konto anlegen, einen Testzugang starten, ein Abo abschließen oder den Newsletter bestellen, und zwar am Konto oder an der Newsletter-Anmeldung. Sind Sie angemeldet, speichern wir einen Klick auf einen solchen Link direkt am Konto. Kommen Sie über einen Partnerlink, merken wir uns am Konto auch den Partnerpreis. Ihre Antwort auf „Wie hast du von uns erfahren?“ speichern wir ebenfalls am Konto. Die Herkunft eines Abos geht auch an Stripe (siehe Zahlung).

Aufrufe über einen Kampagnenlink zählen wir außerdem ohne Konto und ohne IP-Adresse.

Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO. Unser berechtigtes Interesse ist, zu wissen, welche Partner und Kampagnen Menschen zur App bringen.

Beta-Test (Tally)

Beta-Tester senden Fehlerberichte und Rückmeldungen über Formulare von Tally (Tally BV, Gent, Belgien). Dabei gehen eine gekürzte Kontonummer, die Sprache und der Stand der Aufgaben an Tally. Rechtsgrundlage ist Art. 6 Abs. 1 lit. b DSGVO.

Videos (YouTube)

Auf der Startseite und im Guide zeigen wir Videos von YouTube (Google Ireland Limited, Gordon House, Barrow Street, Dublin 4, Irland). Bis Sie auf „Abspielen“ tippen, lädt nichts von YouTube; das Vorschaubild kommt über unseren Server.

Mit dem Tippen auf „Abspielen“ willigen Sie ein, dass das Video im erweiterten Datenschutzmodus (youtube-nocookie.com) geladen wird. Dabei erhält Google Ihre IP-Adresse und technische Angaben zum Browser, und YouTube speichert Daten in Ihrem Browser. Google kann Daten auch in den USA verarbeiten; Google ist nach dem EU-US Data Privacy Framework zertifiziert.

Die Einwilligung gilt für diesen Besuch, wir speichern sie nicht. Nach dem Neuladen der Seite fragen wir erneut. Was YouTube in Ihrem Browser gespeichert hat, löschen Sie über die Einstellungen des Browsers.

Rechtsgrundlage ist Ihre Einwilligung nach Art. 6 Abs. 1 lit. a DSGVO und § 25 Abs. 1 TDDDG.

Was wir nicht einsetzen

PostHog ist zum Start aus. Es gibt keine Aufzeichnung des Bildschirms (Session Replay). Beides ist im Code abgeschaltet, nicht nur in einer Einstellung.

Reichweite und Fehler

Vercel Web Analytics zählt Seitenaufrufe, ohne ein Cookie oder einen Speicher auf dem Gerät zu setzen, und ohne ein Profil eines Browsers über die Zeit. Vercel Speed Insights misst auf dieselbe Weise, wie schnell Seiten laden. Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Sentry erhält Fehlerberichte, damit wir Abstürze finden. Wir senden kein Nutzerprofil mit. E-Mail-Adressen und Zugangslinks werden vor dem Versand entfernt. Eine Bildschirmaufzeichnung ist nicht eingerichtet. Der Empfang liegt bei Sentry in der EU (de.sentry.io). Rechtsgrundlage: Art. 6 Abs. 1 lit. f DSGVO.

Hosting

Die App läuft bei Vercel. Vercel verarbeitet dafür die technisch nötigen Verbindungsdaten: IP-Adresse, Zeitpunkt, Browser, aufgerufene Adresse, Verweis und Fehlerprotokolle. Das dient der Auslieferung und der Abwehr von Angriffen.

Datenbank und Anmeldung liegen bei Supabase, Region Frankfurt (AWS eu-central-1). Übertragung und Speicherung sind verschlüsselt.

Beide sind Auftragsverarbeiter. Soweit Daten die EU verlassen, gelten Standardvertragsklauseln.

Rechtsgrundlagen: Art. 6 Abs. 1 lit. b DSGVO für den Dienst, Art. 6 Abs. 1 lit. f DSGVO für Sicherheit und Betrieb.

Empfänger

1. Vercel: Hosting, Web Analytics, Speed Insights.
2. Supabase: Datenbank und Anmeldung.
3. Stripe: Zahlung, Rechnungsadresse, Rechnungen, Kundenportal.
4. SMTP2GO: transaktionale E-Mails.
5. Sender.net: Warteliste, Newsletter, Tester und Partner, einschließlich Öffnungs- und Klickmessung.
6. OpenRouter und der Anbieter, der das Sprachmodell betreibt: nur die von Ihnen ausgelöste Deutung.
7. Sentry: Fehlerberichte.
8. Google (YouTube): nur wenn Sie ein Video abspielen.
9. Tally: Formulare im Beta-Test.

Wie lange

1. Kontoinhalte: solange das Konto besteht. Nach der Löschung des Kontos löschen wir die Kontodaten aus der Datenbank. Kopien in Backups fallen mit dem Backup-Zyklus des Hosters weg.
2. Unbestätigte Anmeldung: 24 bis 48 Stunden.
3. Papierkorb: 30 Tage.
4. Angefangene Speicherung auf dem Gerät: 24 Stunden.
5. Newsletter: für die Dauer des Bezugs, danach der Nachweis der Einwilligung drei Jahre.
6. Nutzungsereignisse: ohne automatische Löschfrist. Siehe oben.
7. Rechnungen: nach Steuerrecht, bei Stripe.
8. Kündigung und Widerruf: nach dem oben beschriebenen Erforderlichkeitsmaßstab; unabhängig von der Kontolöschung und ohne automatische Löschfrist.

Ihre Rechte

Sie haben das Recht auf Auskunft, Berichtigung, Löschung, Einschränkung und Datenübertragbarkeit. Ihre Einwilligung in den Newsletter können Sie mit Wirkung für die Zukunft widerrufen. Gegen Verarbeitungen auf berechtigtem Interesse können Sie widersprechen (Art. 21 DSGVO).

Beschwerde können Sie einlegen beim Landesbeauftragten für den Datenschutz und die Informationsfreiheit Baden-Württemberg, Postfach 10 29 32, 70025 Stuttgart, poststelle@lfdi.bwl.de.

Kontakt

Datenschutz: info@iching.plus.